Bulletin-ID
Senast uppdaterad den
25 sep. 2024
Säkerhetsuppdateringar tillgängliga för Adobe ColdFusion | APSB24-71
|
|
Publiceringsdatum |
Prioritet |
|
APSB24-71 |
10 september 2024 |
3 |
Sammanfattning
Adobe har släppt säkerhetsuppdateringar för ColdFusion, versionerna 2023 och 2021. Dessa uppdateringar åtgärdar en kritisk säkerhetslucka som kan leda till exekvering av godtycklig kod.
Berörda versioner
|
Produkt |
Uppdateringsnummer |
Plattform |
|
ColdFusion 2023 |
Uppdatering 9 och tidigare versioner |
Alla |
|
ColdFusion 2021 |
Uppdatering 15 och tidigare versioner |
Alla |
Lösning
Adobe ger dessa uppdateringar följande prioritetsklassificering och rekommenderar användare att uppdatera till den senaste versionen:
|
Produkt |
Uppdaterad version |
Plattform |
Prioritetsklassificering |
Tillgänglighet |
|---|---|---|---|---|
|
ColdFusion 2023 |
Uppdatering 10 |
Alla |
3 |
|
|
ColdFusion 2021 |
Uppdatering 16 |
Alla |
3 |
Obs!
Se den uppdaterade dokumentationen för seriefiltret för mer information om skydd mot osäkra Wddx-deserialiseringsattacker https://helpx.adobe.com/se/coldfusion/kb/coldfusion-serialfilter-file.html
Sårbarhetsinformation
|
Sårbarhetskategori |
Sårbarhetens inverkan |
Allvarlighet |
CVSS-baspoäng |
CVE-nummer |
|
|
Deserialisering av ej tillförlitliga data (CWE-502) |
Exekvering av godtycklig kod |
Kritisk |
9.8 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2024-41874 |
Tack:
Adobe tackar följande forskare för att de har rapporterat det här problemet och för att de samarbetar med Adobe i säkerhetsfrågor:
- sapra – CVE-2024-41874
Obs! Adobe har ett offentligt program ihop med HackerOne för att hitta fel. Om du är intresserad av att arbeta med Adobe som extern säkerhetsforskare kan du ta en titt här: https://hackerone.com/adobe.
Obs!
Adobe rekommenderar att du uppdaterar ColdFusion JDK/JRE LTS-versionen till den senaste uppdaterade versionen som en säker praxis. ColdFusions hämtningssida uppdateras regelbundet för att inkludera de senaste Java-installationsprogrammen för den JDK-version som din installation stöder enligt matriserna nedan.
Anvisningar om hur du använder en extern JDK finns i Ändra ColdFusion JVM.
Adobe rekommenderar också att du använder de säkerhetskonfigurationsinställningar som finns i ColdFusion Security-dokumentationen samt att du läser igenom respektive Lockdown-guide.
JDK-krav för ColdFusion
COLDFUSION 2023 (version 2023.0.0.330468) och senare
För programservrar
För JEE-installationer ska du ställa in följande JVM-flagga, "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**" i respektive uppstartfil beroende på vilken typ av programserver som används.
Till exempel:
Apache Tomcat-programserver: utgåva JAVA_OPTS i ”Catalina.bat/sh”-filen
WebLogic-programserver: utgåva JAVA_OPTIONS i ”startWeblogic.cmd”-filen
WildFly/EAP-programserver: utgåva JAVA_OPTS i ”standalone.conf”-filen
Ställ in JVM-flaggor på en JEE-installation av ColdFusion, inte på en fristående installation.
COLDFUSION 2021 (version 2021.0.0.323925) och senare
För programservrar
Ange följande JVM-flagga på JEE-installationer, "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**"
i respektive uppstartfil beroende på vilken typ av programserver som används.
Till exempel:
Apache Tomcat programserver: Redigera JAVA_OPTS i filen Catalina.bat/sh
WebLogic programserver: Redigera JAVA_OPTIONS i filen startWeblogic.cmd
WildFly/EAP programserver: Redigera JAVA_OPTS i filen standalone.conf
Ställ in JVM-flaggorna på en JEE-installation av ColdFusion, inte på en fristående installation.
Mer information finns på https://helpx.adobe.com/se/security.html eller skicka mejl till PSIRT@adobe.com
